¿Qué es el DNS?

El DNS, sistema de nombres de dominio, es un sistema de nombres distribuido que ayuda a las aplicaciones a localizar recursos de red. El nombre de un sitio web puede resolverse en direcciones IPv4 o IPv6, mientras que otros registros dirigen el correo electrónico o identifican los servidores de nombres autoritativos. Un nombre de dominio no tiene por qué apuntar a un único servidor.

Cómo funciona una consulta DNS

Normalmente, su dispositivo pide una respuesta a un resolutor recursivo. Cuando el resolutor no tiene una respuesta en caché, sigue la delegación DNS desde la raíz, pasando por el dominio de primer nivel, hasta los servidores autoritativos responsables del nombre. El servidor autoritativo publica los datos de la zona; el resolutor devuelve la respuesta pertinente al cliente. El registrador y el operador de DNS pueden ser organizaciones distintas.

Un resolutor guarda en caché las respuestas durante un periodo relacionado con el tiempo de vida, o TTL, de cada registro. También puede almacenar en caché algunas respuestas negativas. Por ello, distintos usuarios pueden ver resultados diferentes poco después de añadir o modificar un registro. Cambiar los servidores de nombres en el registrador modifica la delegación; editar un registro A en los servidores autoritativos existentes modifica los datos de la zona. Son operaciones distintas.

Registros DNS habituales

Un registro A asocia un nombre a una dirección IPv4 y un registro AAAA lo asocia a una dirección IPv6. MX identifica los servidores de intercambio de correo, NS identifica los servidores de nombres autoritativos, CNAME crea un alias de nombre y TXT contiene texto que se utiliza para fines como la verificación de dominios o la autenticación del correo. Compruebe de forma explícita el tipo de registro solicitado: que un registro MX funcione no dice nada sobre si un sitio web es accesible.

Al trasladar un sitio, puede bastar con actualizar sus registros de dirección. Si además cambia de proveedor de DNS, copie los registros MX, TXT y demás registros necesarios antes de cambiar la delegación. La falta de registros de correo puede interrumpir la entrega aunque el sitio web se abra. Una respuesta DNS por sí misma solo describe datos de nombres; no puede demostrar que un servidor acepte conexiones, tenga un certificado TLS válido o ejecute una aplicación que funcione bien.

Privacidad y DNSSEC

Las consultas DNS tradicionales entre un cliente y su resolutor no suelen ir cifradas. DNS over HTTPS y DNS over TLS cifran esa parte del recorrido, aunque el resolutor elegido sigue pudiendo ver las consultas que procesa. DNSSEC autentica los datos DNS firmados cuando la cadena de confianza es válida; no cifra la consulta ni hace que un sitio web sea seguro. Estos mecanismos resuelven problemas distintos.

Resolución de problemas paso a paso

Si un sitio nuevo no se abre, consulte sus registros A y AAAA e identifique los servidores de nombres autoritativos. Compare sus respuestas con las de uno o varios resolutores recursivos. Si la respuesta autoritativa es nueva pero la recursiva es antigua, la caché es una explicación probable. Si la respuesta autoritativa es incorrecta, revise la zona y la delegación. Anote el nombre exacto, el tipo de registro, el resolutor y la hora para el servicio de soporte.

Una vez que el DNS devuelva la dirección esperada, investigue por separado la siguiente capa: alcanzabilidad de la red, respuesta del servidor, TLS y errores de la aplicación. Esta secuencia evita modificar registros DNS correctos para arreglar un problema del servidor web. Los fundamentos del protocolo están documentados en los RFC 1034 y RFC 1035.

Privacidad del resolutor y fugas de DNS

DoH o DoT cifran el tramo entre el cliente y el resolutor, pero la elección del resolutor es una cuestión aparte. Un navegador, el sistema operativo y una VPN pueden usar configuraciones distintas. Vea también qué observa un test de fugas de DNS y la comparativa DoH frente a DoT.